第91章 境外节点(4/6)
可对方不会让你顺利把境外节点点亮。他们会用更高阶的方式：切割关联，制造“看起来干净”的链条。
---
下午两点四十七，罗工在日志里发现一个“看起来干净”的异常：某境外节点的访问行为突然停了。停得非常干净，像一个开关被关掉。停行为本身不是好事，反而可能意味着：对方察觉到风险，开始撤离、清理、换壳。
“他们开始换壳。”罗工把结论发给周工，“之前有稳定访问，今天突然归零。不是自然波动，像撤退。”
周工立刻问：“能不能从撤退动作里抓到证据？比如清理脚本、删除日志、换证书？”
罗工点头：“可以。撤退会留下新指纹。我们可以把蜜罐参数调成‘诱导型’：让他们以为关掉某服务就安全，实际上我们记录到最后一次登录的设备指纹、最后一次请求的证书链特征、以及新的跳板IP。”
纪检联络员听完，眼神很冷：“撤退就是心虚。把撤退变成证据。”
这就是反渗透的思路：不阻止你撤退，而是在你撤退时给你打标。你跑，你就留下鞋印。
护士长听到“诱导型蜜罐”，轻声说：“别让病区受到影响。”
“不会。”罗工说，“蜜罐只在技术层，不触碰病区数据。”
纪检联络员仍然强调：“风险控制要写进流程。诱导不等于冒险，必须可控。”
周工点头：“我们只诱导他们的脚步，不诱导我们的底线。”
系统提示再次闪动：
【境外节点撤退：访问归零疑似换壳】
【建议：诱导型蜜罐抓撤退指纹（设备/证书/IP）】
【目标：把撤退变成证据，为协查加固】
---
下午四点，工作组收到一份新的匿名材料：一份境外“咨询服务合同”模板，格式与国内启辰体系的“外包服务合同”高度相似，甚至连某些错别字和段落顺序都一样。更关键的是，合同里出现一个境外收款账户的中间行信息，与周工正在筛查的跨境结算节点高度吻合。
“这不是巧合。”周工看完，几乎立刻下结论，“模板同源。国内外合同同一批人写。”
纪检联络员没有急着把它当作铁证，她按流程让法务与审计共同核验：元数据、格式特征、对照国内模板的版本号痕迹、以及该账户是否与已止付账户存在资金往来。
罗工则用技术方式验证模板同源：比较字体嵌入、段落样式标识、自动编号的隐藏ID。这些东西很难伪造，除非你真的拿到原始模板。
核验结果很快出
本章还未完，请点击下一页继续阅读>>>
